LastPass MFA驗證搞烏龍，害用戶被登出無法使用

密碼管理服務商LastPass 5月間實施的多因素驗證（MFA）措施出錯，讓多名用戶遭登出後無法再登入。

事情源於LastPass 5月初的MFA安全設定。該公司5月9日通知用戶將進行安全升級，已經先強制登出用戶。用戶必須重新登入LastPass、並重設想要接收MFA的App（例如LastPass Authenticator、Microsoft Authenticator、Google Authenticator等等）。

圖片來源_LastPass

為重設MFA，LastPass發送電子郵件給用戶以驗證IP位址或裝置。但問題是，被登出LastPass後他們無法存取電子郵件信箱。即使一名用戶利用家人的密碼登入郵件帳號，並重設了MFA，但卻再次接到重設MFA的要求。這名用戶失望地表示，去年8月LastPass鬧出外洩客戶資料，他仍然持續支持，但這次這種令人挫折的使用經驗，已經讓他準備跳槽其它密碼管理方案。另一用戶形容被困在重設MFA的鬼打牆中。還有一些用戶則是從未接到MFA的重設信件。

更糟的是許多用戶無法再登入LastPass帳號，想要聯絡技術支援，無奈LastPass的技術支援卻必須登入LastPass才能使用。有用戶嘗試從推特官方帳號留言求助，卻遲遲不見回音。

由於被登出帳號加上不斷重設MFA的要求，使大批LastPass用戶被鎖在LastPass帳號之外無法使用其密碼管理庫。事實上，早在5月9日LastPass的公告後，就有用戶抱怨被鎖在帳號外直到近日。

LastPass對《Bleeping Computer》說明，最新的MFA重設要求是在去年8月被駭，程式碼及客戶個資、密碼庫資料外洩後，該服務採行的安全措施。

針對用戶無法登入一事，LastPass提供的解決方法是，如果MFA驗證信已過期，就再嘗試登入以觸發新驗證信件。如果因忘記LastPass帳號密碼而無法登入者，可以在回復Master Password頁中點擊「聯絡」鍵建立客戶支援工單。因無法同步MFA而無法登入者，LastPass建議從此頁點擊「聯絡」鍵，以呼叫再發送驗證信件。